CGNAT na prática - Histórico de revisão

Gondim em 02h54min de 11 de dezembro de 2023

2023-12-11T02:54:16Z

← Edição anterior		Edição das 02h54min de 11 de dezembro de 2023
Linha 661:		Linha 661:

	# carrega os arquivos de regras de CGNAT		# carrega os arquivos de regras de CGNAT
	include "/root/scripts/cgnat-0-31.conf"		'''include "/root/scripts/cgnat-0-31.conf"'''
	A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.		A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.

Gondim em 02h51min de 11 de dezembro de 2023

2023-12-11T02:51:57Z

← Edição anterior		Edição das 02h51min de 11 de dezembro de 2023
Linha 642:		Linha 642:
	add ct helper ip filter ftp-padrao { type "ftp" protocol tcp; }		add ct helper ip filter ftp-padrao { type "ftp" protocol tcp; }
	add ct helper ip filter sip-padrao { type "sip" protocol udp; }		add ct helper ip filter sip-padrao { type "sip" protocol udp; }
	add chain ip filter PREROUTING { type filter hook prerouting priority 0; }		add chain ip filter PREROUTING { type filter hook prerouting priority filter; }
	add rule ip filter PREROUTING tcp dport 1723 ct helper set "pptp-vpn"		add rule ip filter PREROUTING tcp dport 1723 ct helper set "pptp-vpn"
	add rule ip filter PREROUTING tcp dport 21 ct helper set "ftp-padrao"		add rule ip filter PREROUTING tcp dport 21 ct helper set "ftp-padrao"

Gondim em 02h47min de 11 de dezembro de 2023

2023-12-11T02:47:49Z

← Edição anterior		Edição das 02h47min de 11 de dezembro de 2023
Linha 638:		Linha 638:
	flush ruleset		flush ruleset

	add table filter		add table ip filter
	add ct helper ip filter pptp-vpn { type "pptp" protocol tcp; }		add ct helper ip filter pptp-vpn { type "pptp" protocol tcp; }
	add ct helper ip filter ftp-padrao { type "ftp" protocol tcp; }		add ct helper ip filter ftp-padrao { type "ftp" protocol tcp; }

Gondim em 02h06min de 11 de dezembro de 2023

2023-12-11T02:06:19Z

← Edição anterior		Edição das 02h06min de 11 de dezembro de 2023
Linha 632:		Linha 632:

	Nosso script de CGNAT base '''/root/scripts/frw-nft.sh''':		Nosso script de CGNAT base '''/root/scripts/frw-nft.sh''':


	#!/usr/sbin/nft -f		#!/usr/sbin/nft -f
	# limpa todas as regras da memoria		# limpa todas as regras da memoria
	flush ruleset		flush ruleset

			add table filter
			add ct helper ip filter pptp-vpn { type "pptp" protocol tcp; }
			add ct helper ip filter ftp-padrao { type "ftp" protocol tcp; }
			add ct helper ip filter sip-padrao { type "sip" protocol udp; }
			add chain ip filter PREROUTING { type filter hook prerouting priority 0; }
			add rule ip filter PREROUTING tcp dport 1723 ct helper set "pptp-vpn"
			add rule ip filter PREROUTING tcp dport 21 ct helper set "ftp-padrao"
			add rule ip filter PREROUTING ip protocol udp ct helper set "sip-padrao"

	# regras base para o CGNAT		# regras base para o CGNAT
	add table ip nat		add table ip nat

	~~add ct helper ip nat pptp-vpn { type "pptp" protocol tcp; }~~
	~~add ct helper ip nat ftp-padrao { type "ftp" protocol tcp; }~~
	~~add ct helper ip nat sip-padrao { type "sip" protocol udp; }~~

	add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }		add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }
Linha 648:		Linha 655:

	# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo		# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo
	add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0		add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0
	~~add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn"~~
	~~add rule ip nat POSTROUTING tcp dport 21 ct helper set "ftp-padrao"~~
	~~add rule ip nat POSTROUTING ip protocol udp ct helper set "sip-padrao"~~

	# faz o jump para as regras de CGNAT		# faz o jump para as regras de CGNAT
Linha 657:		Linha 661:

	# carrega os arquivos de regras de CGNAT		# carrega os arquivos de regras de CGNAT
	~~'''~~include "/root/scripts/cgnat-0-31.conf"~~'''~~		include "/root/scripts/cgnat-0-31.conf"
	A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.		A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.

Gondim em 01h52min de 11 de dezembro de 2023

2023-12-11T01:52:05Z

← Edição anterior		Edição das 01h52min de 11 de dezembro de 2023
Linha 649:		Linha 649:
	# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo		# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo
	add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0		add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0
	add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn" ~~counter~~		add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn"
	add rule ip nat POSTROUTING tcp dport 21 ct helper set "ftp-padrao" ~~counter~~		add rule ip nat POSTROUTING tcp dport 21 ct helper set "ftp-padrao"
	add rule ip nat POSTROUTING ip protocol udp ct helper set "sip-padrao" ~~counter~~		add rule ip nat POSTROUTING ip protocol udp ct helper set "sip-padrao"

	# faz o jump para as regras de CGNAT		# faz o jump para as regras de CGNAT

Gondim em 01h50min de 11 de dezembro de 2023

2023-12-11T01:50:19Z

← Edição anterior		Edição das 01h50min de 11 de dezembro de 2023
Linha 640:		Linha 640:

	add ct helper ip nat pptp-vpn { type "pptp" protocol tcp; }		add ct helper ip nat pptp-vpn { type "pptp" protocol tcp; }
			add ct helper ip nat ftp-padrao { type "ftp" protocol tcp; }
			add ct helper ip nat sip-padrao { type "sip" protocol udp; }

	add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }		add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }
Linha 647:		Linha 649:
	# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo		# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo
	add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0		add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0
	add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn" counter		add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn" counter
			add rule ip nat POSTROUTING tcp dport 21 ct helper set "ftp-padrao" counter
			add rule ip nat POSTROUTING ip protocol udp ct helper set "sip-padrao" counter

	# faz o jump para as regras de CGNAT		# faz o jump para as regras de CGNAT
	add rule ip nat POSTROUTING oifname "bond0" counter jump CGNATOUT		add rule ip nat POSTROUTING oifname "bond0" counter jump CGNATOUT

	~~'''~~# carrega os arquivos de regras de CGNAT		# carrega os arquivos de regras de CGNAT
	include "/root/scripts/cgnat-0-31.conf"		'''include "/root/scripts/cgnat-0-31.conf"'''
	A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.		A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.

Gondim em 00h00min de 11 de dezembro de 2023

2023-12-11T00:00:24Z

← Edição anterior		Edição das 00h00min de 11 de dezembro de 2023
Linha 638:		Linha 638:
	# regras base para o CGNAT		# regras base para o CGNAT
	add table ip nat		add table ip nat

			add ct helper ip nat pptp-vpn { type "pptp" protocol tcp; }

	add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }		add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }

Linha 644:		Linha 647:
	# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo		# libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo
	add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0		add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0
			add rule ip nat POSTROUTING tcp dport 1723 ct helper set "pptp-vpn" counter

	# faz o jump para as regras de CGNAT		# faz o jump para as regras de CGNAT
Linha 649:		Linha 653:

	'''# carrega os arquivos de regras de CGNAT		'''# carrega os arquivos de regras de CGNAT
	include "/root/scripts/cgnat-0-31.conf"~~'''~~		include "/root/scripts/cgnat-0-31.conf"
	A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.		A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.

Gondim em 05h35min de 6 de julho de 2023

2023-07-06T05:35:50Z

Mostrar alterações

Gondim em 05h31min de 6 de julho de 2023

2023-07-06T05:31:37Z

← Edição anterior		Edição das 05h31min de 6 de julho de 2023
Linha 940:		Linha 940:

	=== Novo script gerador de regras nftables com suporte a netmap ===		=== Novo script gerador de regras nftables com suporte a netmap ===
	Com a versão nova que virá do '''Debian''', a '''versão 12 (Bookworm)''', teremos também uma versão nova do '''nftables''' '''1.0.6''' e essa versão já suporta o equivalente ao '''netmap''' que temos no '''Mikrotik''' e com isso teremos menos regras na memória e provavelmente mais performance. O sistema novo conta também com o '''kernel 6.1.27''' que possui diversas '''melhorias na pilha tcp/ip'''. Para aqueles que já quiserem testar nesse novo ambiente, fiz uma modificação no script python mostrado anteriormente, para gerar regras nesse novo formato e um arquivo tabela com o relacionamento de portas e IPs para quebra de sigilo tecnológico. Aqui https://github.com/gondimcodes/GRCN o novo código e estarei solicitando ao '''José Beiriz''' para incorporá-lo no '''GRCN'''.		Com a versão nova que virá do '''Debian''', a '''versão 12 (Bookworm)''', teremos também uma versão nova do '''nftables''' '''1.0.6''' e essa versão já suporta o equivalente ao '''netmap''' que temos no '''Mikrotik''' e com isso teremos menos regras na memória e provavelmente mais performance. O sistema novo conta também com o '''kernel 6.1.27''' que possui diversas '''melhorias na pilha tcp/ip'''. Para aqueles que já quiserem testar nesse novo ambiente, fiz uma modificação no script python mostrado anteriormente, para gerar regras nesse novo formato e um arquivo tabela com o relacionamento de portas e IPs para quebra de sigilo tecnológico. Aqui '''https://github.com/gondimcodes/GRCN''' o novo código e estarei solicitando ao '''José Beiriz''' para incorporá-lo no '''GRCN'''.

	Para gerar as regras é só executar da mesma maneira. Exemplo:		Para gerar as regras é só executar da mesma maneira. Exemplo:

Gondim em 05h31min de 6 de julho de 2023

2023-07-06T05:31:06Z

Mostrar alterações